התאריכים הם החלק הלא נוח בסיפור הזה. לפי ההודעה של ג'פן איירליינס, הגישה הלא מורשית למערכות של הספק שלה התחילה ב-10 באוגוסט 2023 ונמשכה עד 23 בספטמבר 2026. חברת התעופה שמעה על כך רק ב-23 באוקטובר, כשהספק הודיע לה.

מה קרה

הספק הוא Amadeus, חברה שרוב הנוסעים לא שמעו עליה ובכל זאת עוברים דרכה. היא מפעילה את המערכות שמנהלות הזמנות, כרטוס וצ'ק-אין עבור יותר מ-400 חברות תעופה, 210 מפעילי שדות תעופה ושני מיליון בתי מלון. ב-1 באוקטובר פרסמה Amadeus הודעה על חולשה בסביבה שבה מוצגים פרטי הזמנות, ואמרה אז שקבוצות כופרה לא ניצלו אותה ושמידע פיננסי לא נחשף.

עכשיו מתברר שהחולשה כן נוצלה. ג'פן איירליינס מדווחת על כ-92 אלף לקוחות שלה ושל חברת הבת Japan Transocean Air. אצל כ-90 אלף מהם דלפו קוד ההזמנה, השם, תאריכי הטיסה, המסלול ומחלקת הנסיעה. אצל כאלפיים נוספים דלפו גם כתובת מייל, מספר טלפון, מספר דרכון, אזרחות, מספר הנוסע המתמיד ומספרי כרטיס ומושב. החברה אומרת שמספרי כרטיסי אשראי וסיסמאות לא נחשפו, ושאין לה כרגע עדות לשימוש לרעה במידע.

ג'פן איירליינס היא לא לבד. קוריאן אייר ואסיאנה דיווחו גם הן על לקוחות שנפגעו, ולפי הדיווחים Amadeus עדכנה אותן ב-20 באוקטובר, שלושה ימים לפני ג'פן איירליינס. התקשורת היפנית קושרת לאירוע גם את ANA, והקישור הזה מבוסס פחות משאר הדיווחים. מה שחסר הוא המספר הכולל: Amadeus לא אמרה כמה חברות תעופה ואילו שווקים נפגעו, ולשאלה של BleepingComputer בנושא היא לא ענתה.

למה זה חשוב לכם

המערכת הזאת עובדת גם בישראל, וזה לא ניחוש. בינואר 2019 מצא החוקר הישראלי נעם רותם חולשה אחרת באותה מערכת, דווקא דרך קישור הצ'ק-אין של אל על. שינוי של פרמטר אחד בכתובת חשף אז את ההזמנה של נוסע אחר, ועם קוד ההזמנה ושם המשפחה היה אפשר להיכנס לחשבון הלקוח ולממש את הנקודות שלו. Amadeus תיקנה את זה בזמנו.

באירוע הנוכחי אף חברה ישראלית לא דיווחה על לקוחות שנפגעו, וכל עוד Amadeus לא פרסמה רשימה אי אפשר לדעת אם יש כאלה. מה שכן אפשר לדעת זה מה שווה המידע שדלף. מי שמחזיק את מספר ההזמנה שלכם, את תאריך הטיסה ואת היעד יכול לכתוב הודעה שנשמעת בדיוק כמו הודעה מחברת התעופה, והפרטים הנכונים בתוכה הם מה שגורם לכם להאמין לה. זה הדלק של פישינג, כלומר הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים.

מה עושים?

הודעה שמצטטת נכון את פרטי הטיסה שלכם איננה הוכחה שהיא באמת מחברת התעופה. אם יש בה קישור, אל תלחצו עליו. פתחו את האפליקציה או את האתר של החברה בעצמכם ובדקו שם אם משהו בהזמנה השתנה.

אם פנייה דורשת תשלום דחוף על שינוי טיסה, כבודה או מושב, התקשרו לחברה או לסוכן הנסיעות לפני שאתם מקלידים מספר כרטיס אשראי.

חשבון הנוסע המתמיד שלכם שווה כסף, כי נקודות אפשר לממש ולהעביר. החליפו בו סיסמה, ואם החברה מציעה אימות דו-שלבי, הפעילו אותו.

מספר דרכון לא מתחלף כשמחליפים סיסמה. אם מגיעה אליכם פנייה שמציגה את מספר הדרכון שלכם כהוכחה שהיא אמיתית, היא לא.

חברת התעופה לא נפרצה, הספק שלה נפרץ, ואת הספק של חברת התעופה שום נוסע לא בחר.